Акт оценки эффективности мер защиты ПДн: образец заполнения и пустой бланк 2026

1.1. Комиссия, созданная приказом ООО «Ромашка» от 12.01.2026 № 11-ПДн, в составе: председатель комиссии — заместитель генерального директора Иванов Иван Иванович; член комиссии — начальник отдела информационных технологий Смирнов Андрей Викторович, провела оценку эффективности принятых мер по обеспечению безопасности персональных данных.

1.2. Ответственный за организацию обработки персональных данных: начальник юридического отдела Смирнова О. В. 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.3. Комиссия правомочна при участии не менее трёх её членов, включая председателя.

2.1. Оценка эффективности принятых мер по обеспечению безопасности персональных данных проводится оператором до ввода информационной системы в эксплуатацию и в дальнейшем не реже одного раза в три года 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

2.2. Предмет оценки: реализованные меры защиты персональных данных в информационной системе информационная система кадрового учёта «1С:Зарплата и управление персоналом», для которой установлен четвёртый уровень защищённости (УЗ-4) (акт определения уровня защищённости от 15.01.2026 № 2-ПДн).

2.3. Период проведения оценки: с 3 по 14 февраля 2026 года.

2.4. Предыдущая оценка эффективности оформлена документом: акт оценки эффективности от 10.02.2023 № 1-ОЭ.

2.5. Цель обработки персональных данных в информационной системе: ведение кадрового учёта, начисление заработной платы и представление отчётности в государственные органы.

3.1. Метод проведения оценки: документарная проверка и инструментальный контроль.

3.2. Оценка проводилась путём сопоставления фактически реализованных мер защиты с составом мер, обязательным для установленного уровня защищённости Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн, и с требованиями к защите персональных данных в информационных системах ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

3.3. Документарная часть оценки включала анализ организационно-распорядительных документов оператора, перечня лиц, допущенных к обработке, журналов учёта машинных носителей и журналов событий безопасности.

3.4. Инструментальная часть оценки включала проверку настроек средств защиты, контроль состава установленного программного обеспечения, проверку разграничения доступа и контроль обновления средств антивирусной защиты.

3.5. Мера признаётся эффективной, если она реализована, работоспособна, документирована и её действие подтверждено при проверке.

4.1. Комиссия проверила реализацию мер защиты и установила следующее:

4.2. Проверка охватила меры идентификации и аутентификации, управления доступом, защиты машинных носителей, регистрации событий безопасности, антивирусной защиты, обеспечения целостности и доступности, защиты технических средств и защиты каналов передачи данных.

4.3. Результаты инструментального контроля и выгрузки настроек средств защиты приобщены к материалам оценки.

5.1. По результатам проведённой оценки комиссия пришла к выводу: меры защиты соответствуют установленному уровню защищённости.

5.2. Выявленные недостатки: Не настроено автоматическое блокирование сеанса после 15 минут бездействия на 4 автоматизированных рабочих местах; журналы событий безопасности хранятся 30 дней вместо установленных внутренним регламентом 6 месяцев.

5.3. Выявленные недостатки не свидетельствуют о произошедшем неправомерном доступе к персональным данным; факты утечки персональных данных за оцениваемый период не установлены.

5.4. Следующая оценка эффективности принятых мер должна быть проведена не позднее 10.02.2029.

5.5. Настоящий акт является документом, подтверждающим исполнение оператором обязанности по оценке эффективности принятых мер защиты 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

6.1. Комиссия признаёт необходимым выполнить следующие мероприятия:

6.2. Контроль исполнения мероприятий возлагается на ответственного за организацию обработки персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

6.3. По результатам выполнения мероприятий составляется отметка об устранении недостатков, которая приобщается к настоящему акту.

6.4. До устранения недостатков, влияющих на защищённость персональных данных, оператор применяет компенсирующие организационные меры.

8.1. Настоящий акт составлен в одном экземпляре и хранится у ответственного за организацию обработки персональных данных вместе с материалами оценки.

8.2. К акту прилагаются протоколы инструментального контроля, выгрузки настроек средств защиты и объяснения работников, ответственных за эксплуатацию средств защиты.

8.3. Акт подлежит пересмотру досрочно при изменении уровня защищённости информационной системы, при существенном изменении её архитектуры и при выявлении новых актуальных угроз безопасности.

9.1. Председатель комиссии: заместитель генерального директора ______________ / Иванов И. И. /

9.2. Член комиссии: начальник отдела информационных технологий ______________ / Смирнов Андрей Викторович /

9.3. Акт принят на хранение: начальник юридического отдела ______________ / Смирнова О. В. /